CMMC コンプライアンス チェックリスト：CMMC 2.0 適合のための必携ガイド
レベル2認証のための110のコントロール、認証レベル、および証拠要件をすべて網羅したステップバイステップのCMMC 2.0準拠チェックリストです。
2026 年の CMMC コンプライアンス チェックリストでは、NIST SP 800-171 の 110 のコントロール以上を考慮する必要があります。2026 年 11 月 10 日から Phase 2 の施行が必須となるため、防衛産業基盤（Defense Industrial Base）に属する組織は、C3PAO のアセスメントが到着する前に、自社の認証レベル、ドメイン要件、証拠（evidence）義務を明確に把握しておく必要があります。
TL;DR: A CMMC compliance checklist for 2026 must account for more than the 110 controls in NIST SP 800-171. With Phase 2 enforcement mandatory from November 10, 2026, organizations across the Defense Industrial Base need a clear picture of their certification level, domain requirements, and evidence obligations before a C3PAO assessment arrives.
連邦政府と取引を行う組織は、しばしば機密性の高いデータを作成したり、取り扱ったりします。このデータを安全に保つために、国防総省（DoD）は Cybersecurity Maturity Model Certification（CMMC）を作成しました。CMMC の枠組みは、防衛産業基盤（Defense Industrial Base：DIB）の企業および DoD の契約を求める企業に対して必須です。
CMMCは2021年にバージョン2.0へ更新され、32 CFR Part 170として成文化されました。これは2024年12月16日に発効しています。DFARSを通じてそれを実施可能にする調達規則は、2025年11月10日から有効になりました。
CMMC 2.0への準拠は、自主的な基準ではなく、DoDの契約資格の条件です。DFARS 252.204-7021の対象となる組織は、契約の授与前に求められる認証レベルを満たさなければなりません。
この CMMC 準拠チェックリストは、バージョン 2.0 に関する主要な要件を網羅しており、組織が認証取得に向けた第一歩を踏み出すのに役立ちます。
CMMC 2.0とは？
CMMC 2.0（Cybersecurity Maturity Model Certification）は、国防請負業者が、Controlled Unclassified Information（CUI）を保護するために必要なサイバーセキュリティ管理策を実装していることを確認するための DoD の枠組みです。これは DFARS 252.204-7021（2025年11月10日発効）を通じて運用化されており、自主的な基準ではなく契約の授与条件です。
CMMC フレームワーク全体の範囲は、2 つの用語によって定義されます。これらの違いによって、貴社に適用される認証レベルが決まります。
- CUI (Controlled Unclassified Information): これは、政府が作成または保有する情報、または政府に代わって組織が作成または保有する情報であり、政府の法律・規則・方針によって、保護や開示のための管理手段を用いて当該機関が取り扱うことを要求または許可されているものです。
- FCI (Federal Contract Information)：これは、不特定多数への公開を目的としていない情報であり、政府に対して製品またはサービスを開発・提供するための契約のもとで、政府のために提供または生成される情報を指します。ただし、政府が一般に提供する情報は含まれません。
2 つのデータ種別の違いは、貴社が 3 段階の認証構造のどこに位置づけられるかを決めるため重要です。
誰が CMMC 認証を必要としますか？
CMMC は主に DIB 内の組織に適用されます。DIB には、米国の軍隊向けの装備や能力の生産に関与する 30 万以上の企業および大学が含まれます。
- プライム契約業者： 契約が授与される前に、CMMC の要件を遵守し、サプライチェーンが適用される認証レベルを満たしていることを確認する必要があります。
- サブコントラクター： 自らが独自に認証を取得する必要があります。認証はプライム契約業者から継承（引き継ぎ）することはできません。
- エンジニアリングおよび技術スタッフ： DoD 契約のもとで FCI または CUI を取り扱う場合は、CMMC の要件の対象となります。
- サプライチェーンおよび R&D（研究開発）機関： DoD のプログラムに参加し、規制対象データを取り扱う場合は、適切な認証レベルを達成する必要があります。
必要な CMMC レベルは、DoD が各 Request for Information（RFI）および Request for Proposals（RFP）で指定します。
CMMC コンプライアンスの目的は何ですか？
CMMC コンプライアンスは、サプライチェーン全体を通じて下請け業者に流れるデータを含め、DIB の契約者が CUI を安全に取り扱えるようにすることを目的としています。
このフレームワークは、契約の授与前に完了するだけの単なるチェックリストではありません。組織が機密性の高い政府情報を管理し、保護し、その所在や取り扱いを説明（account for）するための継続的な基準を確立します。
- 適切なサイバーセキュリティの実践によって機密情報を保護し、しばしば CMMC コントロール一覧に沿った「trust but verify（信頼するが検証する）」モデルを採用します
- 進化し続ける脅威の状況に合わせて、既存のサイバーセキュリティの取り組みを継続的に強化します
- 組織全体で説明責任を徹底し、エラーを特定して解決できるようにします
- DoD の要件を満たすための取り組みを促進します
- サイバーセキュリティとサイバーレジリエンスを優先する、協調的な文化を育みます
- 最高水準のプロフェッショナリズム、倫理、透明性によって公共の信頼を維持する
CMMCは NIST SP 800-171 および NIST SP 800-172 に整合しているため、認証を目指す組織は、これらの標準を事前に把握し、コンプライアンス・プログラムを開始する前に、統制項目の完全なリストを慎重に確認する必要があります。
CMMC コンプライアンス・レベル
CMMC の認証レベルは、貴社が入札できる（および保有できる）DoD の契約範囲を決定します。CMMC 2.0 は、要件がそれぞれ異なる3つのレベルを定義しています。
レベル 1、基礎
FCIを取り扱うがCUIは取り扱わない組織に適用されます。ここでいうデータは、国家安全保障にとって重要ではないものとします。認証には、から導出された17のサイバーセキュリティ実施事項への準拠が必要です FAR 52.204-21。これは年次の自己評価により実証します。FCIを保有するすべてのDIB組織は、最低でもLevel 1を達成しなければなりません。
Level 2、Advanced
CUIを取り扱う組織に適用されます。認証には、NIST SP 800-171 Rev 2 に指定されている110のセキュリティ実施事項すべての導入が必要で、さらにC3PAOによる3年ごとの評価を受ける必要があります。プログラムの機微度によっては、Level 2の一部の組織が3年ごとの自己評価の対象となる場合があります。Level 2は、ほとんどのDIB組織が運用しているレベルです。
Level 3、Expert
CUIが高度持続的脅威（APTs）によるリスクにさらされる可能性がある、高優先度のDoDプログラムに携わる組織に適用されます。認証には、NIST SP 800-171の110の実施事項すべてに加えて、NIST SP 800-172の追加の強化実施事項を導入し、さらにC3PAOではなく政府が直接実施する3年ごとの評価を受けることが必要です。Level 2の認証は、Level 3の前提条件です。
Netwrix AuditorがACおよびAUドメイン全体のCMMCレベル2の管理要件にどのように対応しているかをご覧ください。Netwrix Auditor maps to CMMC Level 2 control requirements across the AC and AU domains.
CMMC のドメインと実践
CMMC 2.0 は、NIST SP 800-171 に由来する 14 のドメインに基づいて、すべてのサイバーセキュリティ要件を整理しています。レベル 2 で求められる 110 の管理策（コントロール）のそれぞれは、これらのドメインのいずれかに含まれます。各ドメイン内で求められる実践は、認証レベルに応じて規模が拡大します。
レベル 2 における 14 のドメインと、それぞれの管理策（コントロール）数は次のとおりです。
- アクセス制御（AC）：22 個の管理策
- 意識向上とトレーニング（AT）：3 個の管理策
- 監査と説明責任（AU）：9つの統制
- 構成管理（CM）：9つの統制
- 識別と認証（IA）：11の統制
- インシデント対応（IR）：3つの統制
- 保守（MA）：6つの統制
- 媒体保護（MP）：9 つのコントロール
- 人的セキュリティ（PS）：2 つのコントロール
- 物理的保護（PE）：6 つのコントロール
- リスク評価（RA）：3 つのコントロール
- セキュリティ評価（CA）：4 つのコントロール
- システムおよび通信保護（SC）：16 の管理策
- システムおよび情報の完全性（SI）：7 の管理策
アクセス制御（Access Control）は、レベル 2 で最も多くの管理策を含み、C3PAO の評価では最も厳しく精査されます。
システムおよび通信保護（System and Communications Protection）は、主に FIPS が検証した暗号化要件があることから、有条件の認定ステータスと最も一般的に結び付けられるドメインです。
是正計画を作成する組織は、すべての CUI システムにおける個々のユーザーの追跡可能性を管理する Audit and Accountability と並行して、これら 2 つのドメインを優先して取り組むべきです。
CMMC Level 2 認証の準備と完了までの進め方
以下の7つのステップは、実際のコンプライアンス・プログラムがどのように進むかを反映しています。スコーピングから内部の準備完了までをカバーし、各ステップは前のステップに積み上げられていきます。
スコーピングが確認される前に、いきなりコントロールの実装から進めてしまう組織では、証拠が正しい評価境界（assessment boundary）に対応していないことが、繰り返し発覚します。
ステップ 1：CUI 環境のスコープを定義する
以降の各ステップは、スコーピング段階の正確さに依存します。まずは実際の CUI データフローを把握します。CUI がどこから環境に入ってくるのか、内部ではどのように移動するのか、そしてどこから外へ出ていくのかを整理しましょう。
DoD CMMC Scoping Guide Level 2 は 5 つの資産カテゴリを定義しています。CUI Assets、Security Protection Assets、Contractor Risk Managed Assets、Specialized Assets、および Out-of-Scope Assets です。スコーピング（範囲設定）の誤りは、評価失敗の原因として最も頻繁に挙げられるものの一つです。
企業全体をスコーピングするのか、CUI enclave を定義するのかという判断は、認証コストと実装の複雑さの両方に最も大きな影響を与えます。
enclave のスコーピングでは、評価の境界を CUI を直接取り扱うシステムに限定します。その結果、コストと作業量を大幅に削減できる一方で、enclave とより広い環境との間でデータがどのように流れるかについて、厳格な制御が必要になります。
ステップ 2：ギャップ（差分）評価を実施し、SPRS の基準値（ベースライン）を確立する
スコープが確定したら、NIST SP 800-171 の すべての 110 のセキュリティ要件について、DoD CMMC Assessment Guide Level 2 にある評価目的の全セットに照らして評価してください。
これにより SPRS のスコアが生成されます。このスコアは SPRS に提出する必要があります。スコアは実際のセキュリティ態勢を正確に反映していなければなりません。低いものの正確なスコアよりも、過大なスコアのほうが法的リスクの露出が大きくなります。
この段階で必要となる主要な証拠の成果物には、現在のポリシー ライブラリ、ネットワーク アーキテクチャ図、資産インベントリ、ギャップ評価レポート、および SPRS 提出の確認が含まれます。
ステップ 3：SSP と POA&M を構築する
システム セキュリティ プラン（System Security Plan：SSP）は、C3PAO が評価のロードマップとして使用する主要文書です。SSP が欠落している、または古くなっている場合、評価が始まる前に中止されることがあります。
SSP には、範囲、評価の境界、運用環境、適用しない要件、実装方法、外部接続、更新頻度など、すべての必須セクションを含める必要があります。
110の各コントロールに対して、指定されたコントロールオーナーを割り当て、SSPが確定する前にAffirming Officialを指定します。
POA&Mは、まだ完全には実装されていないコントロールを文書化します。これには2つの制約があります。1つ目は、Conditional certification statusを得るには評価スコアが少なくとも80%であること、2つ目は、クローズアウトの期限が180日であり、延長は利用できないことです。
ステップ4：評価者が最も注目する領域から始めて、110のコントロールを実装する
4つのドメインが、最も厳しい評価の精査対象であり、かつ証拠要件の不履行が最もよく発生します。
- Access Control (AC): 主要な要件には、文書化された定期的なアクセスレビューを伴うロールベースのアクセス制御、最小権限の徹底 を、特権を持たないアカウントを別に用意して実施すること、管理されたコントロールポイント経由で行うすべてのリモートアクセスに対する多要素認証、そしてモバイル端末でのCUIの暗号化が含まれます。
- 監査と説明責任（AU）： 主な要件には、すべての CUI システムに対する集中型 監査ログ管理、実行されたすべての操作についての個別ユーザーの追跡可能性、権威あるソースとの時刻同期、および監査データの不正な改ざんからの保護が含まれます。
- 構成管理（CM）： 最もよく欠落する C3PAO の成果物である、文書化されたベースライン設定を作成します。主な要件には、認知されたベンチマークに基づいてベースラインを強制適用すること、セキュリティ影響分析を伴う正式な変更管理、そしてソフトウェア実行に関する「deny-all／permit-by-exception」ポリシーが含まれます。
- インシデント対応（IR）： インシデント対応 の主な要件には、インシデントのライフサイクル全体をカバーする文書化された IR 計画、テーブルトップ演習によって検証された IR 能力、そして復元能力が検証された安全でテスト済みのバックアップが含まれます。
残りの 10 のドメインは、個別の精査の度合いは低いものの、累積的なポイントの重みは増えていきます。境界付近のスコアは、人的セキュリティ、物理的保護、または保守など、精査の度合いが低いドメインに未解決のギャップがあることで、80% の POA&M 閾値を下回る可能性があります。
ステップ 5：すべてのコントロールを評価に使用できる証拠に対応づける
C3PAO の評価は、口頭での説明や意図の文書ではなく、検証可能な証拠に基づいて行われます。証拠は、すべてのドメインにおいて「ポリシー」「構成」「モニタリング」「運用記録」の4つの層にまたがる必要があります。
すべてのアーティファクト（証跡）は、DoD が定義する記録保持期間の満了まで保管する必要があります。現在の解釈では、CMMC Status Date から少なくとも 6 年です。
アクセス制御（Access Control）ドメインの3つの例で、証拠基準を示します。
- 3.1.1（システムアクセスを認可されたユーザーに限定する）： 実装は ロールベースのアクセス制御（role-based access control） として、名前付きグループおよび自動化されたプロビジョニング解除を行います。必要なアーティファクトは、アクセスレビューのレポートと、グループメンバーの変更ログです。
- 3.1.5（最小権限の強制）: 実装は ジャストインタイムの権限昇格 で、永続的な管理者アカウントはありません。必要な成果物（アーティファクト）は、特権アクセス要求ログとセッション記録です。
- 3.1.12（リモートアクセスのセッションを監視する）: 実装は、MFA を備えた VPN と、セッションの完全なログ記録です。必要な成果物（アーティファクト）は、VPN ログと MFA イベント記録です。
C3PAO のアセスメントが開始される前に、この4層のエビデンス（証拠）パターンをすべての14ドメインに適用してください。
ステップ6：C3PAOに依頼する前の社内事前アセスメント
すべての評価目的に対して、C3PAO の手法を模倣した社内の準備状況（readiness）評価を実施してください。すべての SSP コントロール（統制）ステートメントに、追跡可能で日付が付いたエビデンスがあることを検証します。コントロールのオーナーが、準備なしで評価者に対してエビデンスチェーン全体を説明できることを確認してください。
すべての 110 の統制をアーティファクト、ファイルの場所、および保存されている記録に対応付ける証拠インデックスを作成し、その後、現在の態勢を反映するように SSP、POA&M、SPRS のスコアを更新します。
ステップ 7：C3PAO を選定し、アセスメントを完了する
から認可された C3PAO を選択し、Cyber AB Marketplace でアセスメントの予定を立てます。取り組み（契約）が始まる前に SSP と証拠インデックスを共有してください。評価者は両方をロードマップとして使用します。
アセスメントは通常 3〜5 日間にわたります。評価者はドキュメントを確認し、統制のオーナーにインタビューを行い、110 のアセスメント目標に照らして構成（コンフィギュレーション）をテストします。統制は Met（満たす）、Not Met（満たさない）、Not Applicable（該当なし）のいずれかで評価されます。
スコアが 80% 以上の場合、C3PAO が CMMC 証明書を発行し、DoD に提出します。SPRS のスコアを更新し、3 年ごとの再アセスメントの間に毎年、年次の確認（affirmations）を提出してください。
Netwrix が CMMC コンプライアンスを支援する方法
CMMC レベル 2 の認証は、本質的に「証拠の生成」と「証拠の保全（保持）」の課題です。多くの組織が欠いているのは、Access Control および Audit and Accountability の各ドメインにおいて、継続的に日時・帰属情報が明確で、監査にそのまま使えるアーティファクト（監査準備済みの成果物）を作り出すための信頼できる仕組みです。
Netwrix Auditor は、どのレベル 2 評価においても「最も証拠負荷の高い」2 つのドメインに対応します。CMMC へのコンプライアンス対応マッピング（事前に用意されたマッピング）により、AD グループのメンバーシップ変更ログ、特権アクティビティのトレース、リモートアクセス監視の証拠を生成します。導入は 30 分未満です。
Netwrix Privilege Secure は、完全なセッション記録付きの just-in-time 特権アクセスを提供し、評価の際に最も頻繁に課題として指摘される AC ドメインにおける最小権限（least privilege）コントロールに直接対応します。
Netwrix 1Secure は、ファイル サーバー、SharePoint Online、Microsoft 365 全体で自動化された機密データの検出と分類により、スコーピング（範囲設定）フェーズを支援します。これにより、スコーピング チームは最初から検証可能な CUI インベントリを把握できます。
デモを依頼する Netwrixが、お客様の環境全体においてCMMC Level 2の統制要件にどのように対応付けられるかを確認してください。
Netwrix Auditor は、ハイブリッド Microsoft 環境全体でのアクセスおよび変更イベントの前後の値を記録します。無料トライアルをダウンロード
Netwrix Privilege Secure は、常駐の管理者アカウントを、期限が自動で失効する just-in-time の特権セッションに置き換えます。無料トライアルをダウンロード
CMMCコンプライアンス・チェックリストに関するよくある質問
共有する